python - 避免以明文形式存储密码以通过 Python 进行 IMAP 访问

Question

我正在尝试编写一个有助于清除 IMAP 收件箱的脚本，但我遇到了密码问题；即，要访问服务器，我需要访问明文。我已经检查过了，我的邮件服务器没有将 MD5 显示为可用方法（否则我可以使用IMAP4.login_cram_md5）。如何在没有明文密码的情况下访问服务器？

Answer 1

您可以像这样检查可用的身份验证方法（我正在使用IMAP4_SSL，IMAP4如果您想要不安全的连接，请使用，但如果您可以选择，我不建议您使用非 SSL 连接）。

import imaplib
imap_server = imaplib.IMAP4_SSL("imap.server.com")
print "\n".join(i for i in imap_server.capabilities if i.startswith("AUTH="))

然后，您可以编写一个可以传递给imap_server.authenticate()您选择的方法的身份验证对象。此错误报告恰好有一些使用示例，并且此 SO 问题显示有人通过 OAuth 对 Gmail 进行身份验证。

如果服务器不提供除明文密码以外的任何身份验证方法，或者您不能/不希望支持它们，那么不幸地将密码存储在可以恢复明文的形式中是不可避免的。您可以以某种形式对其进行加密（例如，使用PyCrypto的 AES ，例如此处），但加密密钥仍将存储在某处，除非您每次都想提示用户（在这种情况下，您不妨只提示输入密码反正）。我建议至少进行一些琐碎的混淆，例如 Base64 编码，以防止有人无所事事地瞥一眼代码或配置，从而清楚地看到密码。

编辑：另一点可能很明显是确保如果您确实需要存储纯文本密码，则永远不要将它们存储在需要全球可读的文件中。例如，永远不要在脚本中硬编码它们，即使它只是一个快速脚本，它的所有其他设置都是全局变量或类似的。相反，请尝试确保密码位于单独的文件中，该文件可以根据需要限制特定于操作系统的权限。